Les script kiddies passent à l'offensive

En août dernier, les meilleures équipes de cybersécurité au monde se sont réunies à Las Vegas pour participer au concours AIxCC (Artificial Intelligence Cyber Challenge) organisé par la DARPA. L'exercice consistait à analyser 54 millions de lignes de code réel dans lequel l'agence américaine avait intentionnellement dissimulé des failles artificielles. Les équipes ont non seulement identifié la majorité de ces bugs plantés, mais leurs outils automatisés ont également détecté une douzaine de vulnérabilités supplémentaires que la DARPA n'avait pas insérées. Quelques mois plus tard, Anthropic a franchi un nouveau seuil avec Claude Mythos, un modèle capable de repérer des failles de sécurité de manière autonome et à grande échelle.

Ces avancées transforment profondément le rapport de force en cybersécurité. Si l'IA peut désormais auditer des millions de lignes de code en quelques heures, elle offre aux défenseurs un avantage considérable, mais elle remet également entre les mains d'acteurs moins qualifiés des capacités d'attaque autrefois réservées à des experts. C'est précisément ce que résume l'expression "script kiddies" : des individus aux compétences limitées qui, armés d'outils IA puissants, pourraient lancer des attaques sophistiquées sans en comprendre la mécanique.

La compétition AIxCC s'inscrit dans une course aux armements numériques qui s'accélère. La DARPA investit massivement pour que l'IA devienne un outil de défense proactif, capable de corriger les vulnérabilités avant qu'elles ne soient exploitées. Mais l'émergence simultanée de modèles comme Claude Mythos soulève une question centrale pour l'ensemble de l'industrie : dans cette symétrie technologique, qui bénéficie le plus de la démocratisation de l'IA offensive ?